批量getshell

凌晨两点，批量我盯着屏幕上那个绿油油的批量webshell，心里想的批量却是下午四点那杯凉透的咖啡。批量getshell这事儿，批量本质上就是批量一场数字世界的军备竞赛，拼的批量不是谁的工具多，而是批量谁更懂人性。

上周遇到个客户，批量说他们整个教育网段被拖了库。批量我上去一看，批量好家伙，批量整段IP里三百多台机器，批量全是批量同一个CMS的默认后台。开发者留了个后门在uploads目录，批量文件名还是批量admin.php.bak。这种低垂的果实，批量打下来只需要一个for循环加一个弱口令字典，前后不到十分钟。你说这是技术？我看这是懒——管理员懒得改默认密码，开发者懒得删备份文件。

真要说批量getshell的门道，其实就三个字：找共性。同一个框架的SQL注入点，同一个中间件的解析漏洞，同一个运维团队的习惯性命名规则。我见过最离谱的一次，某单位整个C段的所有服务器，管理员密码都是"admin@2023"，连数字递增都懒得改。那哪儿是getshell啊，那就是开门进去拿东西。

但批量操作有个坑，特别容易翻车。去年有个同行，写了个自动化脚本去扫某知名OA系统的任意文件上传，结果没做版本判断，把老版本和新版本的漏洞payload混着发。新版本直接崩了，日志里全是500报错，第二天人家安全团队就顺着IP摸过来了。所以批量getshell这事儿，慢就是快。你得先手工验证两个目标，确认payload兼容性，再上规模。就像撒网捕鱼，你得先确认这片水域有鱼，而不是把网往沙漠里撒。

还有个容易忽略的点——流量特征。批量扫意味着高频请求，WAF又不是瞎子。我习惯把扫描速率控制在每秒三次以下，再随机加些无害参数干扰日志分析。有次打某省的教育平台，对方用的某知名云WAF，我直接绕过去打源站IP，因为那种WAF只防护域名解析后的流量，源站反而裸奔。这招不新鲜，但永远有人不设防。

最后说点实在的。批量getshell的最高境界不是拿权限，是拿完权限之后不留痕迹。日志清干净，临时文件删掉，连bash_history都得处理。有个老哥教过我，拿shell后第一件事是改系统时间，让文件时间戳和上下文对不上，这样事后溯源难度直接翻倍。当然，这些手段现在很多EDR都能查，但道高一尺魔高一丈，你总得比防守方多想一步。

写这篇东西的时候，我又看了眼那个webshell，还没被查杀。可能明天就会被发现，那也无所谓——反正批量getshell这门手艺，永远都有下一批粗心大意的目标。